(Zpracovatelská smlouva / DPA) — Příloha č. 1 k Všeobecným obchodním podmínkám platformy Tulkit
Preambule
Tuto Smlouvu o zpracování osobních údajů (dále jen „Smlouva“ nebo „DPA“) uzavírají:
(1) Physio Intel s.r.o., IČO: 19789980, se sídlem Čujkovova 1714/21, Zábřeh, 700 30 Ostrava, jako provozovatel platformy Tulkit (dále jen „Poskytovatel“ nebo „Zpracovatel“), a
(2) Uživatel platformy Tulkit v roli fyzioterapeuta, kliniky nebo jiného poskytovatele fyzioterapeutické či rehabilitační péče, který v Platformě zakládá profily svých pacientů a zpracovává jejich osobní údaje (dále jen „Správce“),
(Zpracovatel a Správce dále společně jako „Strany“ a každý samostatně jako „Strana“).
Vzhledem k tomu, že Poskytovatel provozuje online platformu Tulkit, jejímž prostřednictvím Správce zpracovává osobní údaje, včetně zvláštní kategorie údajů o zdravotním stavu, svých Pacientů; a vzhledem k tomu, že Poskytovatel v tomto rozsahu zpracovává osobní údaje jménem a na pokyn Správce, tedy v postavení zpracovatele osobních údajů ve smyslu čl. 28 Nařízení Evropského parlamentu a Rady (EU) 2016/679 (dále jen „GDPR“); dohodly se Strany na uzavření této Smlouvy tak, aby byly naplněny požadavky čl. 28 GDPR.
Tato Smlouva se stává nedílnou přílohou Všeobecných obchodních podmínek platformy Tulkit (dále jen „VOP“) a je uzavřena automaticky okamžikem, kdy Správce začne v Platformě zpracovávat osobní údaje Pacientů (tj. založí či spravuje profil alespoň jednoho Pacienta); identifikační údaje Správce se v takovém případě řídí údaji uvedenými v jeho Uživatelském účtu. U vybraných Správců (zejména klinik a Firemních zákazníků) může být tato Smlouva uzavřena i samostatně podpisem obou Stran dle podpisového bloku na konci dokumentu.
Článek 1 — Definice pojmů
Pojmy „osobní údaje“, „zvláštní kategorie osobních údajů“, „subjekt údajů“, „správce“, „zpracovatel“, „zpracování“ a „porušení zabezpečení osobních údajů“ mají význam definovaný v čl. 4 GDPR.
Sub-zpracovatel — další zpracovatel, kterého Zpracovatel pověří zpracováním osobních údajů v rámci poskytování Služby.
Pacient — subjekt údajů, jehož osobní údaje Správce jako fyzioterapeut, klinika či jiný poskytovatel péče zpracovává v Platformě.
Platforma / Služba — online platforma Tulkit provozovaná Poskytovatelem.
VOP — aktuálně platné Všeobecné obchodní podmínky platformy Tulkit, jejichž je tato Smlouva přílohou.
Článek 2 — Předmět a doba trvání Smlouvy
2.1 Předmětem této Smlouvy je úprava vzájemných práv a povinností Stran při zpracování osobních údajů Pacientů, které Zpracovatel provádí jménem a na základě pokynů Správce prostřednictvím Platformy.
2.2 Tato Smlouva se uzavírá na dobu trvání smluvního vztahu mezi Správcem a Poskytovatelem založeného VOP. Zánikem tohoto vztahu zanikají i práva a povinnosti podle této Smlouvy, s výjimkou ustanovení, která podle své povahy mají trvat i po jeho zániku (zejména mlčenlivost, likvidace osobních údajů podle článku 9 a odpovědnost za škodu).
Článek 3 — Povaha, účel a rozsah zpracování
3.1 Bližší popis zpracování — kategorie subjektů údajů, kategorie osobních údajů, účel, povaha a doba zpracování — je uveden v Příloze č. 1 této Smlouvy.
3.2 Zpracovatel zpracovává osobní údaje výhradně za účelem poskytování Služby Správci v souladu s VOP a touto Smlouvou, a to pouze po dobu trvání smluvního vztahu, nedohodnou-li se Strany jinak.
Článek 4 — Postavení a odpovědnost Stran
4.1 Správce je ve vztahu k osobním údajům Pacientů zpracovávaným v Platformě správcem osobních údajů ve smyslu čl. 4 odst. 7 GDPR a odpovídá zejména za: (a) zajištění platného právního titulu pro zpracování osobních údajů Pacientů, včetně zvláštní kategorie údajů o zdravotním stavu podle čl. 9 GDPR; (b) přesnost, aktuálnost a zákonnost osobních údajů, které do Platformy vkládá; (c) poskytnutí informací Pacientům o zpracování jejich osobních údajů v rozsahu čl. 13 a 14 GDPR; (d) zajištění souhlasu, resp. jiného odpovídajícího právního titulu, zákonného zástupce v případě zpracování údajů nezletilých Pacientů.
4.2 Zpracovatel zpracovává osobní údaje výhradně na základě doložených pokynů Správce, včetně pokynů obsažených ve VOP, v této Smlouvě a v nastavení a funkcionalitě Platformy, ledaže je ke zpracování povinen na základě práva Evropské unie nebo České republiky; v takovém případě Zpracovatel Správce informuje o tomto právním požadavku před zpracováním, ledaže by dotčené právo takové informování zakazovalo z důvodů důležitého veřejného zájmu.
4.3 Domnívá-li se Zpracovatel, že pokyn Správce porušuje GDPR nebo jiný právní předpis o ochraně osobních údajů, neprodleně o tom Správce informuje.
Článek 5 — Povinnosti Zpracovatele
Zpracovatel se zavazuje:
(a) zpracovávat osobní údaje pouze na základě doložených pokynů Správce, včetně předávání do třetí země či mezinárodní organizaci, ledaže mu jejich předání ukládá právo Evropské unie nebo České republiky;
(b) zajistit, aby se osoby oprávněné zpracovávat osobní údaje zavázaly k mlčenlivosti nebo aby se na ně vztahovala zákonná povinnost mlčenlivosti (viz článek 11);
(c) přijmout veškerá opatření požadovaná podle čl. 32 GDPR (viz Příloha č. 2 — Technická a organizační opatření);
(d) dodržovat podmínky pro zapojení dalšího zpracovatele (sub-zpracovatele) uvedené v článku 6 této Smlouvy;
(e) být Správci nápomocen prostřednictvím vhodných technických a organizačních opatření, je-li to možné, pro splnění povinnosti Správce reagovat na žádosti o výkon práv Pacienta jako subjektu údajů;
(f) být Správci nápomocen při zajišťování souladu s povinnostmi podle čl. 32 až 36 GDPR (zabezpečení, ohlašování porušení zabezpečení, posouzení vlivu na ochranu osobních údajů, předchozí konzultace), a to při zohlednění povahy zpracování a informací, které má Zpracovatel k dispozici;
(g) v souladu s rozhodnutím Správce po ukončení poskytování Služby všechny osobní údaje vymazat nebo je Správci vrátit a vymazat existující kopie, ledaže právo Evropské unie nebo České republiky vyžaduje jejich další uložení (viz článek 9);
(h) poskytnout Správci veškeré informace potřebné k doložení toho, že byly splněny povinnosti podle čl. 28 GDPR, a umožnit audity, včetně inspekcí, prováděné Správcem nebo jím pověřeným auditorem, a k těmto auditům přispět (viz článek 8).
Článek 6 — Sub-zpracovatelé
6.1 Správce uděluje Zpracovateli obecné oprávnění k zapojení dalších zpracovatelů (sub-zpracovatelů) za účelem poskytování Služby.
6.2 Aktuální seznam sub-zpracovatelů je uveden v Příloze č. 3 této Smlouvy.
6.3 Zpracovatel informuje Správce o jakékoliv zamýšlené změně týkající se přijetí dalších sub-zpracovatelů nebo jejich nahrazení, a to s předstihem alespoň 30 dnů před touto změnou, čímž je Správci dána možnost vůči této změně vyslovit námitky.
6.4 Vysloví-li Správce v uvedené lhůtě odůvodněné námitky, které se Stranám nepodaří rozumně vyřešit, je kterákoli ze Stran oprávněna ukončit smluvní vztah v rozsahu dotčeném zapojením daného sub-zpracovatele.
6.5 Zpracovatel uzavře s každým sub-zpracovatelem smlouvu, která mu ukládá přinejmenším stejné povinnosti na ochranu osobních údajů, jaké jsou stanoveny v této Smlouvě, a odpovídá Správci za plnění povinností daného sub-zpracovatele v rozsahu stanoveném GDPR.
Článek 7 — Součinnost při výkonu práv subjektů údajů a při zabezpečení
7.1 Obdrží-li Zpracovatel od Pacienta žádost o výkon jeho práv podle GDPR (např. právo na přístup, opravu, výmaz, omezení zpracování či přenositelnost), aniž by mu příslušelo o takové žádosti rozhodnout, žádost bez zbytečného odkladu postoupí příslušnému Správci a o postoupení informuje Pacienta.
7.2 Zpracovatel poskytne Správci přiměřenou technickou a organizační součinnost při vyřizování žádostí subjektů údajů, zejména prostřednictvím funkcionality Platformy, která Správci umožňuje samostatně přistupovat k osobním údajům Pacientů, opravovat je, exportovat či mazat.
7.3 Zjistí-li Zpracovatel porušení zabezpečení osobních údajů týkající se osobních údajů zpracovávaných pro Správce, oznámí to Správci bez zbytečného odkladu, nejpozději do 48 hodin od okamžiku, kdy se o něm dozvěděl, a poskytne mu informace nezbytné ke splnění jeho povinností podle čl. 33 a 34 GDPR, zejména popis povahy porušení, dotčené kategorie a přibližný počet subjektů údajů a záznamů, popis pravděpodobných důsledků a přijatých či navrhovaných nápravných opatření.
Článek 8 — Audit a kontrola
8.1 Zpracovatel poskytne Správci na jeho žádost informace nezbytné k doložení souladu s povinnostmi podle čl. 28 GDPR a této Smlouvy.
8.2 Správce je oprávněn nejvýše jedenkrát ročně, resp. kdykoliv v případě důvodného podezření na porušení této Smlouvy, provést nebo si nechat provést u Zpracovatele audit, a to po předchozím oznámení s přiměřeným předstihem 30 dnů a způsobem, který nepřiměřeně nenaruší provoz Zpracovatele a bude respektovat důvěrnost informací a práva třetích osob (např. jiných zákazníků Zpracovatele).
8.3 Namísto fyzického auditu je Zpracovatel oprávněn Správci předložit aktuální certifikace, zprávy nezávislého auditora nebo jiné rovnocenné doklady prokazující soulad s touto Smlouvou.
Článek 9 — Ukončení zpracování a likvidace osobních údajů
9.1 Po ukončení poskytování Služby Zpracovatel dle volby Správce buď všechny osobní údaje vymaže, nebo je Správci vrátí a vymaže existující kopie, ledaže právo Evropské unie nebo České republiky vyžaduje uložení daných osobních údajů.
9.2 Nezvolí-li Správce postup podle předchozího odstavce ve lhůtě 30 dnů od ukončení smluvního vztahu, je Zpracovatel oprávněn osobní údaje vymazat, resp. je anonymizovat postupem podle článku 9.4 VOP.
Článek 10 — Předávání do třetích zemí
10.1 Zpracovatel zpracovává osobní údaje Pacientů (včetně zdravotních údajů) v rámci Platformy na území Evropského hospodářského prostoru (EHP) — u sub-zpracovatele active24 s.r.o. jde o datacentra v Bratislavě (SK) a Praze (CZ), viz Příloha č. 3. K předání osobních údajů mimo EHP by mohlo docházet pouze v rozsahu použití nástroje Google Analytics (viz Příloha č. 3), a to výhradně v souladu s podmínkami kapitoly V GDPR (např. na základě rozhodnutí Evropské komise o odpovídající úrovni ochrany, standardních smluvních doložek nebo jiného vhodného nástroje) ; Google Analytics je nasazen výhradně na marketingovém webu tulkit.cz a nezpracovává údaje Pacientů z Platformy. Jakékoli další předání osobních údajů do třetí země nebo mezinárodní organizaci mimo výše uvedené je Zpracovatel povinen předem oznámit Správci.
Článek 11 — Mlčenlivost
11.1 Zpracovatel zajistí, aby se všechny osoby oprávněné zpracovávat osobní údaje na základě této Smlouvy zavázaly k mlčenlivosti, nebo aby se na ně vztahovala zákonná povinnost mlčenlivosti, a to i po skončení jejich pracovněprávního či obdobného vztahu ke Zpracovateli.
Článek 12 — Odpovědnost za škodu
12.1 Každá ze Stran odpovídá za škodu, kterou způsobí porušením povinností stanovených touto Smlouvou nebo GDPR, v rozsahu stanoveném kogentními ustanoveními právních předpisů.
12.2 Odpovědnost Zpracovatele za škodu podle této Smlouvy se dále řídí ustanoveními o odpovědnosti za škodu obsaženými ve VOP (článek 14 VOP), nejde-li o škodu, kterou nelze podle kogentních ustanovení právních předpisů omezit.
Článek 13 — Závěrečná ustanovení
13.1 Tato Smlouva se řídí právním řádem České republiky a GDPR.
13.2 Tato Smlouva je nedílnou přílohou VOP. Není-li v této Smlouvě stanoveno jinak, použijí se na vztahy touto Smlouvou neupravené přiměřeně VOP.
13.3 Přílohy č. 1 až 3 tvoří nedílnou součást této Smlouvy.
13.4 Je-li tato Smlouva uzavírána jako Příloha VOP, nabývá účinnosti okamžikem, kdy Správce začne v Platformě zpracovávat osobní údaje alespoň jednoho Pacienta; je-li podepisována samostatně, nabývá účinnosti dnem podpisu oběma Stranami.
Podpisový blok (pro samostatně uzavíranou variantu)
Vyplňte v případě, že je tato Smlouva podepisována samostatně (např. s klinikou nebo Firemním zákazníkem) mimo automatické uzavření jako Příloha VOP.
Za Zpracovatele:
Physio Intel s.r.o., jméno a funkce podepisující osoby: …………………………………………………………………………
Datum: …………………………………………………………………………
Podpis: …………………………………………………………………………
Za Správce:
Název / jméno a příjmení: …………………………………………………………………………
IČO: …………………………………………………………………………
Sídlo / adresa: …………………………………………………………………………
Jméno a funkce oprávněné osoby: …………………………………………………………………………
Datum: …………………………………………………………………………
Podpis: …………………………………………………………………………
Příloha č. 1 — Popis zpracování osobních údajů
Kategorie subjektů údajů
Pacienti Správce registrovaní nebo spravovaní v Platformě; případně další fyzioterapeuti/spolupracovníci Správce, jsou-li spravováni pod jeho účtem.
Kategorie osobních údajů
Identifikační a kontaktní údaje (jméno, příjmení, e-mail, telefon, datum narození); údaje o zdravotním stavu a další zvláštní kategorie osobních údajů dle čl. 9 GDPR (diagnóza, popis obtíží, cvičební plán, průběh a výsledky rehabilitace, poznámky Fyzioterapeuta, komunikace mezi Fyzioterapeutem a Pacientem, případně fotografie či videozáznamy cvičení); technické a provozní údaje o užívání Platformy (přihlašovací údaje, log soubory, IP adresa).
Účel zpracování
Poskytování Platformy Správci za účelem správy Pacientů, tvorby a sdílení cvičebních plánů, sledování pokroku a komunikace mezi Správcem a Pacientem; technická podpora a údržba Platformy; zajištění bezpečnosti a prevence zneužití Platformy.
Povaha zpracování
Shromažďování, zaznamenávání, uspořádávání, uložení, úprava, vyhledávání, použití, zpřístupnění přenosem a výmaz, prováděné automatizovaně v elektronické podobě prostřednictvím Platformy.
Doba zpracování
Po dobu trvání smluvního vztahu mezi Správcem a Poskytovatelem, resp. do vymazání nebo vrácení osobních údajů podle článku 9 této Smlouvy.
Příloha č. 2 — Technická a organizační opatření (TOM)
Šifrovaný přenos dat mezi zařízením Uživatele a Platformou (protokol HTTPS/TLS) a bezpečné ukládání přístupových hesel pomocí kryptografického hashování.
Řízení přístupu na základě rolí (role-based access control) a princip minimálních oprávnění.
Pravidelné zálohování dat a plán obnovy po havárii (disaster recovery).
Logování a monitoring přístupů k systémům obsahujícím osobní údaje.
Pravidelné bezpečnostní testování a aktualizace systémů (patch management).
Fyzické a organizační zabezpečení datového centra: hosting zajišťuje active24 s.r.o., a to prostřednictvím datacentra Perpetuus v Bratislavě (klasifikace TIER III, nepřetržitý fyzický dohled, kontrola vstupu, kamerový systém, detekce kouře a vody, automatické hasicí zařízení, garantovaná dostupnost 99,982 %) a datacentra TOWER v Praze.
Zdokumentované postupy pro zvládání bezpečnostních incidentů a ohlašování porušení zabezpečení.
Pravidelné školení zaměstnanců a spolupracovníků Zpracovatele v oblasti ochrany osobních údajů.
Smluvní zajištění mlčenlivosti zaměstnanců, spolupracovníků a sub-zpracovatelů.
Příloha č. 3 — Seznam sub-zpracovatelů
Aktuální k 13. 8. 2026. Poskytovatel je povinen tento seznam průběžně aktualizovat a postupovat podle článku 6 této Smlouvy při jeho změnách.
Sub-zpracovatel
Účel zpracování
Umístění / lokalita
active24 s.r.o. (webhosting)
Hosting a ukládání dat Platformy
EU/EHP — datacentrum Perpetuus, Bratislava (SK), příp. datacentrum TOWER, Praha (CZ)
Google (Google Analytics — Google Ireland Ltd. / Google LLC)
Webová analytika návštěvnosti — výhradně marketingový web tulkit.cz, nikoli Platforma
EU i mimo EHP (USA) — na základě mechanismu podle kapitoly V GDPR (např. EU–US Data Privacy Framework / standardní smluvní doložky) — EU–US Data Privacy Framework, jehož je Google LLC certifikovaným účastníkem
— (zatím nevyužíváno)
Platba platební kartou — funkce zatím není zprovozněna; po jejím spuštění zde bude doplněna konkrétní platební brána